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Resume 

E"' I Cette note repond a une question posee par Reynald Lercier a propos des algorithmes de 

^ ■ calcul de logarithmes discrets. 

^ . Etant donne un corps residuel fini k, on recherche une base de friabihte de k* qui soit sta- 

, bilisee par 1' action du groupe des automorphismes de k. Nous construisons des representations 

originales de certains corps finis, qui admettent de telles bases. Ce travail vise a perfectionner 
les algorithmes de calcul du logarithme discret. On traite le cas de la codimension un (crible 
lineaire) et de la codimension deux (crible algebrique). 
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1 Presentation 

Dans ce travail nous etudions 1' existence de bases de friabilite invariantes par 1' action de 
Galois pour les corps finis. On salt que de telles bases accelerent le calcul des logarithmes dis- 
crets. Nous rappelons cette observation de Joux et Lercier dans la section [2] et donnons un pre- 
mier exemple dans la section [3l Dans la section |4] nous rappelons les rudiments des theories de 
Kummer et Artin-Schreier, qui produisent tous les exemples utilises a ce jour de bases Galois in- 
variantes de friabilite. Nous montrons dans la section [5] que seules les extensions de Kummer et 
Artin-Schreier admettent des drapeaux d'espaces lineaires invariants par Taction de Galois. Dans 
la section [6] nous decrivons le cadre, plus general, de notre etude : la specialisation d'isogenies 
entre groupes algebriques, et nous en deduisons un premier exemple nouveau de base invariante 
de friabilite dans la section |71 Nous montrons dans la section [8] que les isogenics entre courbes 
elliptiques produisent une variete considerable de bases invariantes de friabilite lorque le degre 
du corps n'est pas trop grand. 

Dans la section [9] nous rappelons le principe des algorithmes de cribles rapides, tels que le 
crible algebrique. Nous montrons dans la section [TO] que notre approche est compatible avec ces 
principes. Nous concluons par quelques questions et remarques sur les possibilites et les limites 
de notre methode. 

2 Une question soulevee par Joux et Lercier 

Rappelons le principe d'un algorithme simple pour calculer des logarithmes discrets dans le 
groupe multiplicatif d'un corps fini avec q = p'^. 

Le corps fini est vu comme corps residuel k = ¥p[X]/ A{X) avec A(X) E Fp[X] po- 
lynome unitaire irreductible de degre d. On note x = X mod A{X). 

Si n est un entier tel que 0<n<d — lon note L„ C le Fp-espace vectoriel engendre par 

^ Jb ^ m m m ^ dU • 

Ainsi Lq = Fp C Li C . . . C L^-i = Fg et x C La+t si a + b < n — 1. 
On construit, par divers moyens, des relations multiplicatives entre elements de ou k, est 
entier k bien choisi. Par exemple, pour k = 1, les relations recherchees sont de la forme 

H (a, + kxY^ = 1 G F, (1) 

l<i<7 

OU les a, et bi sont dans Fp. 

On accumule de telles relations jusqu'a obtenir une base du Z-module des relations entre les 
elements de L^. 

Comment trouve-t-on des relations de type[I]? Supposons encore que k = 1. La forme la plus 
simple du crible choisit des triplets (oj, bi, Cj) au hasard et calcule le reste r(X) de la division 
euclidienne de Ylii'^i + hXy^ par A(X). Done 
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r(X) = Y[{ai + hiXy^ mod A{X) 

i 

ou r(X) est un polynome plus ou moins aleatoire de degre < d — 1. 

On espere que r(X) se decompose en produit de polynomes de degre plus petit que k = 1. 
Done r{X) = Ylji'^j + '^j^Y^ obtient la relation 

W^tti + hixY' WjyUj + Vjx)~^' = 1 

i j 

qui est bien du type cherche. 

On dit que est la base de friabilite. 

Joux et Lercier notent dans [3J que s'il existe un automorphisme a de Fg tel que a(x) = ux+v 
avec u,vE ¥p, alors Taction de a sur requation[T]produit une autre equation du meme type. 

Comme I'efficacite des algorithmes de calcul du logarithme discret depend du nombre d'equa- 
tions de type \T\ que Ton pent produire en un temps donne, on souhaite savoir quand de tels 
automorphismes providentiels existent. 

On se demande aussi comment generaliser cette observation. 

Notons que a n'agit pas seulement sur les equations (produits) mais aussi sur les "inconnues" 
ou pour mieux dire sur les facteurs Ui+biX. Aussi, plutot que d'augmenter le nombre d' equations, 
on peut dire que Taction de a permet de diminuer le nombre d'inconnues (ou de facteurs dans la 
base de friabilite). 

En effet si a est la puissance a-ieme du Frobenius on obtient la relation gratuite 

<x{x) = x^" = ux + V. (2) 

On peut done retirer ux + v de la base de friabilite et le remplacer partout par . 

Ainsi, on ne conserve qu'un representant par orbite de Taction de Galois sur L^. Et la taille 
du systeme lineaire a resoudre s'en trouve divisee par Tordre du groupe engendre par o. Si a 
engendre le groupe de Galois de F^/Fp alors on a divise le nombre d'inconnues par d, le degre 
du corps fini Fg. 

Notre preoccupation dans ce texte est de chercher des modeles pour les corps finis, dans 
lesquels les automorphismes respectent la forme particuliere de certains elements ou de certaines 
formules. 

Par exemple, si le corps fini est presente comme ci-dessus, les elements sont donnes comme 
des polynomes en le generateur x. Tout element z du corps fini a un degre : c'est le plus petit 
entier k tel que z E Lk-he degre de oq + aix + ■ ■ ■ + OfcX^ est done k pourvu que < A; < et 
ttfc ^ 0. 

Le degre est sous-additif deg{z x t) < deg(2;) + deg(t). 

La question posee revient a se demander si ce "degre" est preserve par les automorphismes 
deFg. 

On observera que Tinteret de la fonction degre sur F^ dans le cadre des algorithmes de cribles 
tient aux proprietes suivantes : 
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- le degre est sous-additif (et meme assez souvent il est additif) : le degre du produit de deux 
elements est la somme des degres des deux facteurs, pourvu que cette somme soit < d. 

- le degre pennet de repartir agreablement les elements de : il y a elements de degre 

< n si n < d. 

- on dispose d'un algorithme de factorisation qui permet de decomposer aisement certains 
elements de L^-i = Fg en produits d'elements de degre plus petit qu'un k, donne. La 

densite dans Fg de ces elements (dits K-friables) n'est pas trop faible. 
Dans cet article on part a la recherche de fonctions "degre" sur les corps finis avec une 
exigence supplementaire : on veut que le degre soit invariant par action de Galois. 

3 Un premier exemple 

Voici un premier exemple donne par Joux et Lercier : 

Ici p = 43 et d = 6 done q — 43^ et on choisit A{X) — — 3 qui est bien irreductible dans 
F43[X]. Done ¥q est represente comme corps residuel k = ¥4s[X]/X^ — 3. 
On verifie que p — A3 est congru a 1 modulo d = 6 done 

= x*^ = {x^y X x = 3'^x = (eX 

ou Ce = 3*^ = 37 mod 43 est une racine sixieme primitive de I'unite. 

Le Frobenius (p engendre bien sur tout le groupe de Galois. On peut done diviser par 6 la 
taille de la base de friabilite. 

Dans le deuxieme exemple fourni par Joux et Lercier (issu de XTR de type T30) on a. p — 
370801 et d = 30 avec A{X) = X^^ - 17. Cette fois p est congru a 1 modulo d = 30 done 

(j){x) =XP = x=^Ox 12360 X ^ ^ ^^^^ 

avec Cso = 17^^360 ^ ^ 172960 mod p. 

Cette fois, on peut diviser par 30 le nombre d'inconnues. 

On est ici dans le cadre de la theorie de Kummer. Nous donnerons done quelques rappels sur 
cette theorie, qui classifie les extensions cycliques de Fp de degre d divisant p — 1. La theorie 
d'Artin-Schreier est le pendant de la theorie de Kummer pour les p-extensions cycliques en 
caracteristique p et nous la presenterons aussi. Nous allons buter tres vite sur les limitations de 
ces deux theories. 

II sera temps alors de considerer la situation plus generale d'un groupe algebrique muni d'un 
automorphisme rationnel d'ordre fini. 

4 Theories de Kummer et Artin-Schreier 

II s'agit de classifier les extensions cycliques de degre d d'un corps K de caracteristique p 
dans les deux cas les plus simples : 

- Kummer : si p est premier a d et K contient une racine primitive d-ieme de I'unite ; 
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- Artin-Schreier : sid = p. 

Selon la theorie de Kummer, si p est premier a et K contient une racine primitive de I'unite, 
alors les extensions cycliques de degre d sont radicielles. Elles se construisents avec des racines. 

On considere r un element du groupe K*/ (K*)*^ (que Ton identifie avec un representant dans 
K*) et on lui associe le corps L = K(r d). 

Cette expression sous-entend que K est plonge dans une cloture algebrique K et ra est I'une 
quelconque des racines de I'equation X'^ = r dans K. 

On observe que 1' application x ^— x"' definit un epimorphisme de groupe de K* multiplicatif 
sur lui-meme. Le noyau de cet epimorphisme est le groupe des racines d-iemes de I'unite. Les 
racines r d ne sont que les antecedents de r par cet epimorphisme. 

Le corps K(rd) n'est pas toujours isomorphe a I'algebre KfXj/X'^ — r. II Test lorsque r est 
d'ordre d dans le groupe K*/ (K*)"*. 

A I'extreme oppose, si r est dans (K*)*^ alors K[X]/X'^ — r est que le produit de d corps 
isomorphes a K. 

Revenons au cas ou r est d'ordre d. L' extension L/K de degre d est galoisienne car posant 
s = r d il vient 

X'^-r = iX- s)iX - sQ){X - sC) ... (X - sC'') 

ou (ci est une racine primitive rf-ieme de I'unite. 

Le groupe de Galois de L/K est forme des transformations de la forme 

et r application k t-^ ak est un isomorphisme du groupe Z/dZ vers Gal(L/K). 

Si Ton veut eviter de distinguer une infinite de cas, selon que r est d'ordre petit ou grand 
dans K*/ (K*)'^, on procede comme dans Bourbaki yj A V.84]. 

Plutot que de prendre un element de K*/(K*)'^ on choisit un sous-groupe H de K* contenant 
(K*)'^ et on forme I'extension 'K(Hd) en prenant toutes les racines (i-iemes des elements de H. 

A tout element o de Gal(K(iJ d)/K) on associe alors un homomorphisme ^(a) de H/ (K*)'^ 
vers le groupe fid des racines rf-iemes de I'unite. L' homomorphisme ^(a) est defini par 

f \ 

oil 9^ est I'une des racines rf-iemes de 9 (mais on doit bien sur prendre la meme au numerateur 
et au denominateur !) 

La correspondance a i-^ k(o) est un isomorphisme du groupe de Galois 

Gal(K(i7^)/K) 

vers le groupe des homomorphismes Hom(if/ (K*)"', /i^). 

Cela revient a caracteriser un automorphisme o par la maniere dont il agit sur certains radi- 
caux. 
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Cette presentation de la theorie de Kummer construit les extensions abeliennes de K d'expo- 
sant divisant d. 

Dans le cas qui nous interesse le corps K = Fg est fini. Tout sous groupe H de K* est 
cyclique. Pour avoir fid dans K on doit supposer que d divise q — I. On note q — 1 = md. Le 
groupe (K*)'^ a pour cardinal m. Le quotient K*/(K*)'^ est cyclique d'ordre d done il est naturel 
de choisir if = K* (on ne peut mieux faire.) 

On en deduit qu'il existe une unique extension cyclique L de degre d, engendree par une 
racine c?-ieme d'un generateur r de K*. 

Soit done s = r 3 et L = K(s). Le groupe de Galois Gal(L/K) est engendre par le Frobenius 
et Taction de sur s est donnee par = s'^ done 

s 

ou ^ est une racine d-ihme de 1' unite qui depend de r. La correspondance r i-^ est un isomor- 
phisme du groupe K*/ (K*)'^ sur le groupe fid qui n'est autre que I'exponentiation par m. 

Revenant au premier exemple on a g = p = 43, p — 1 = 42, c? = 6, m = 7, r = 3 et 
M = = 37 inod 43. 

s 

On voit immediatement les limites de cette construction : elle requiert la presence de racines 
ci-iemes primitives de 1' unite dans K. 

Si ces racines font defaut, on doit recourir a d'autres moyens pour construire des extension de 
corps cycliques. Les automorphismes des extensions construites par ces methodes plus generales 
ne semblent pas souffrir une presentation aussi simple que dans la theorie de Kummer. 

On peut par exemple passer par une extension auxiliaire K' = K(^rf) de K, qui peut etre 
helas tres grande. On applique alors la theorie de Kummer a cette grosse extension et on obtient 
une extension L'/K' cyclique de degre d. La descente de cette extension se fait par des moyens 
algebriques (resolvantes) peu compatibles avec les exigences formulees dans la section |2l On 
pourra voir [6, Chapitre in.4]. Nous n'explorerons done pas cette piste. 

On resume maintenant la theorie d'Artin-Schreier. 

Selon cette theorie, si p est la caracteristique de K alors toute extension cyclique de degre p 
est engendree par les racines d'un polynome de la forme 

XP -X -a = p{X) - a = 

ou a G K et ou I'expression p{X) = X^ — X semble jouer ici un role assez comparable a celui 
de X" dans la theorie de Kummer. 

On observe en effet que I'application x 1— > p{x) definit un epimorphisme de groupe de 
K additif sur lui-meme. Le noyau de cet epimorphisme est le groupe additif du corps premier 
¥p C K. 

On considere a un element du groupe additif K / p(K) (que Ton identifie avec un representant 
dans K) et on lui associe le corps L = K(p^^(a)). 

Ici encore on sous-entend que K est plonge dans une cloture algebrique K. Alors L est le 
sous-corps de K engendre par K et I'une quelconque des racines de I'equation p{X) = a. 
Comme deux racines different d'un element du corps primitif Fp, il importe peu de savoir laquelle 
on a choisie. 
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Ici encore, le corps K(p~^(a)) n'est pas toujours isomorphe a I'algebre K[X]/Xp — X — a. 
II Test lorsque a est non nul dans K/p(K). Sinon, K[X]/Xp — X — a est le produit de p corps 
isomorphes a K. 

On suppose done que a est non-nul done d'ordre p dans K/p(K). L' extension L/K de degre 
p est galoisienne car posant b = p^^{a) il vient 

X" - X - a = (X - 6)(X - 6 - 1)(X - 6 - 2) . . . (X - 6 - (p - 1)). 
Le groupe de Galois est forme des transformations de la forme 

ak '■ b h-^ b + k 

et I'application k at est un isomorphisme du groupe Z/pZ vers Gal(L/K). 

Si Ton veut maintenant construire toutes les extensions abeliennes de K d'exposant p, on suit 
Bourbaki [1, A V.88]. On considere un sous-groupe H de (K, +) contenant p(K) et on forme 
I'extension K{p^^{H)). 

A tout element a de Gal(K(p~^(if ))/K) on associe alors un homomorphisme K{a) de 
H/ p(K) vers le groupe additif Fp du corps premier. L'homomorphisme ^(a) est defini par 

K{a) : e ^ a{p-\e)) - p-\e) 

ou p~^{0) est I'un des antecedents de 6 par p (et bien sur on doit prendre le meme dans le premier 
et dans le second terme de la difference.) 

La correspondance a i-^ ^(a) est un isomorphisme du groupe de Galois 

G^\{K{p-\H))/K) 

vers le groupe des homomorphismes Hom(iJ/ p(K), Fp). 

Dans le cas qui nous interesse le corps K = Fg est fini de caracteristique p. On pose q = p^ . 
Le morphisme 

p:¥,^¥g 

a pour noyau Fp done le quotient F^/ p(¥q) est d'ordre p. 

II existe done une seule extension L de degre p de ¥q et elle est engendree par b = p^^{a) 
avec a e¥g — p{¥q). 

Le groupe de Galois Gal(L/K) est engendre par le Frobenius et 0(6) — b appartient a Fp. 
La correspondance a (f){b) — b est un isomorphisme du groupe K/p(K) sur le groupe additif 
Fp. 

On se demande s'il est possible de rendre plus explicite cet isomorphisme. 
On a 0(6) = b'' oil q = p^ est le cardinal de K = F^. Done 

0(6) -b = W-b= {Wy^"' -b={b + af^'' - 6 

car p{b) = — b = a. 

Done h^^ —b = ^ — 6 + a^^ ^ . En iterant il vient 
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0(6) -b = bP^ -b = a + aP + aP' + --- + aP^ \ 

Ainsi risomorphisme du groupe K/p(K) sur le groupe additif Fp n'est autre que la trace 
absolue. 

Exemple : on choisit p = 7 et / = 1 done g = 7. La trace absolue de 1 est 1 done on 
pose K = F7 et A{X) = - X - 1 et on construit L = F77 = ¥j[X]/A{X). On note 
x = XmodA{X). 

On a = X + I. 

5 Sous-espaces lineaires invariants d'une extension cy clique 

On rappelle que la question posee dans la section [2] revient a se demander s'il existe des 
automorphismes qui respectent une certaine base de friabilite. 

On a vu dans 1' introduction que les bases de friabilite sont formees ordinairement a I'aide 
d'un drapeau d'espaces vectoriels. 

On se demande done si, pour une extension cyclique L/K donnee, il existe des K-sous- 
espaces vectoriels de L invariants par le groupe de Galois de L/K. 

Supposons que L = K[X]/X'^ — r est une extension de Kummer et pour tout entier k entre 
et (i — 1 notons 

Lfc = K © Kx © ■ ■ ■ © Kx*^ 

le K-sous-espace vectoriel engendre par les + 1 premieres puissances de x = X mod X^ — r. 

Les Lfc sont globalement invariants par Taction de Galois car si a est un 
K-automorphisme de L alors il existe une racine d-ieme de 1' unite C ^ K telle que 

a{x) = (x 

et a(s'') = (''x'^. 

On a done un drapeau de K-espaces vectoriels 

K = Lo C Li C ■ ■ ■ C Ld-i = L 

qui est respecte par Taction de Galois. Done le "degre" est respecte par cette action. 

C'est tres exactement ce qui se produit dans les deux exemples de la section [21 : le "degre" 
des elements du corps fini est respecte par Taction de Galois. Done si la base de friabilite est 
constituee par tous les polynomes irreductibles de degre < k alors elle est globalement invariante 
par Taction de Galois. 

Supposons maintenant que L = K[X]/Xp — X — a est une extension d'Artin-Schreier et 
pour tout entier k entre et j9 — 1 notons 

Lfc = K © Kx © ■ ■ • © Kx'' 
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le K-sous-espace vectoriel engendre par les A; + 1 premieres puissances de x = X mod — 
X -a. 

Les Lk sont globalement invariants par 1' action de Galois car si a est un K-automorphisme 
de L alors il existe une constante c E¥p telle que 

a{x) = X + c 

et done 

a{x'') = {x + c)''= J2 
o<e<k 

On a done encore un drapeau de K-espaces vectoriels 

K = Lo C Li C ■ ■ ■ C Lp_i = L 

qui est respecte par Taction de Galois. 

Attention ! Cette fois, Taction de Galois n'est pas diagonale mais seulement triangulaire. 

Notons que pour les extensions de degre une puissance de p, la theorie dite de Witt-Artin- 
Schreier generalise la theorie d' Artin-Schreier. Et elle produit aussi un drapeau invariant de sous- 
espaces vectoriels. On trouve au debut de la these de Lara Thomas [7] des references et une 
presentation de cette theorie. 

On peut se demander si des drapeaux d'espaces lineaires invariants existent dans d'autres cas. 

On suppose que L/K est une extension cyclique de degre d fini et premier a la caracteristique 
p. Soit (p un generateur de C =< </> >= Gal(L/K) le groupe de Galois. D'apres le theoreme de 
la base normale [|4l Theorem 13.1.] il existe un element w de L tel que 

{w,(P{w),(P\w),...,(P''-\w)) 

soit une K-base de L. 

On en deduit que L muni de Taction de C est la representation reguliere de ce groupe cyclique 
d'ordre d sur le corps K. 

Comme Tordre d du groupe C est premier a la caracteristique p de K, Tanneau K[C] 
est semi-simple d'apres le theoreme de Maschke H Theorem 1.2.]. Cela signifie que toute 
representation est somme directe de representations irreductibles. Autrement dit "tout se passe 
comme en caracteristique zero". 

Le polynome caracteristique de sur le K espace vectoriel L est X^ — 1 qui est un polynome 
separable sur K. 

II existe pour chaque K-facteur f{X) E K[X] de X" — 1 un unique sous-espace irreductible 
V/ C L invariant par (p et tel que la restriction de a V/ admette / comme polynome ca- 
racteristique. 

Tout sous-espace invariant par est somme directe de quelques Vj d'apres le lemme de Schur 
JH Proposition 1.1.]. 

Pour qu'il existe un drapeau complet de sous-espaces invariants par (j) 
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K = Lo C Li C • • • C Ld-i = L 

avec Lk de dimension k, on doit avoir uniquement des facteur irreductibles de degre 1 dans 

X'^-l. 

Alors K contient les racines primitives d-iemes de I'unite et on est dans le cadre de la theorie 
de Kummer. 

Au passage, on a demontre que le drapeau foumi par la theorie de Kummer est unique a 
permutation pres. Plus precisement, tout drapeau ^-invariant est determine par I'ordre choisi sur 
les racines de I'unite (et done sur les K[0]-espaces irreductibles de L). 11 y a rf! tels drapeaux. 

Le drapeaux produits par la theorie de Kummer ont une propriete supplementaire : ils sont de 
la forme 

Vl C Vl®V(^ C Vl®V(^®Vc^2 C • • • C Vl®V(^®Vc^2®- ■ C Vl®V(^®Vc^2®- ■ ■®V(^d-2®V(^d-l 

ou C est une racine primitive d-ieme de I'unite et est Vx-c I'espace irreductible associe au 
facteur X — C^Aq X*^ — 1 ou, si Ton prefere, I'espace propre associe a la valeur propre C, de 0. 

Parmi les d\ drapeaux 0-invariants disponibles, il y en a (f){d) qui sont foumis par la theorie de 
Kummer. lis correspondent aux (f){d) racines primitives d-iemes de I'unite. Ces derniers drapeaux 
jouissent d'une propriete multiplicative essentielle pour les applications envisagees : si A; > et 
Z>0et^ + Z<d-1 alors 

Lk X Li C. Lk+i- 

La conclusion de cette section est done assez negative. Pour aller plus loin que la theorie de 
Kummer, il faudra se montrer moins exigeant. 

6 Specialisation d'isogenies entre groupes algebriques 

La theorie de Kummer et la theorie d' Artin-Schreier sont deux cas particuliers d'une situation 
plus generale que nous allons decrire maintenant et qui nous permettra de construire de nouveaux 
exemples d'automorphismes agreables pour les corps finis. 

Soit K un corps et G un groupe algebrique commutatif. Soit T C G(K) un groupe fini de 
points K-rationnels de G et soit 

7 : G ^ H 

r isogenic quotient de G par T. 

On note d le cardinal de T qui est aussi le degre de I. 

On suppose qu'il existe un point K-rationnel a sur H tel que I~^{a) soit reduit et irreductible 
sur K. Done tout point h tel que I{h) — a definit une extension L de degre d de K. 

On note L = K(6) et on observe que I'origine geometrique de cette extension fournit des 
K-automorphismes de L. 
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Soit t un element de T et notons ©g I'addition dans le groupe algebrique G et ®h I'addition 
dans H. 

On note Og 1' element neutre de G et Oh celui de H. 
Le point Web verifie 

I{t®Gb) = I{t)®ul{b) = OH®Ha = a. 

Done Wob est conjugue de b par Taction de Galois et on obtient tous les conjugues de b en 
prenant tous les t dans T. 

On a done un isomorphisme entre T et Gal(L/K), qui a tout t eT associe I'automorphisme 
residuel 

b e I~^ia) 1-^ b®Gt- 

Maintenant, si les formules geometriques pour la translation P i— > P©g^ dans G sont 
simples, on a obtenu une description agreable du groupe de Galois de L sur K. 

Nous nous interessons ici aux corps finis. Done K = Fg. II suffit alors de trouver un point b 
dans H(Fg) tel que I~^{b) soit K-irreductible. Cela signifie que les points geometriques b dans 
/"^(a) sont definis sur L = F^d et sur aucune sous-extension. 

On illustre ces generalites en revenant aux theories de Kummer et Artin-Schreier que Ton 
revolt ici dans le cadre plus geometrique que nous venons d'esquisser. 

Pour la theorie de Kummer, le groupe algebrique sous-jacent est le groupe multiplicatif G^. 
L' isogenic / est la multiplication par d : 

I = [d\ : Gm — ^ Gm- 

Le groupe Gm est vu comme sous-variete de la droite affine G^ C A^. Un point P de Gm 
est defini par une seule coordonnee z. En fait G^ est defini par I'inegalite z Q. 

L'origine Og a pour coordonnee z{Og) = 1. La loi de groupe algebrique est donnee par 

ziPl®GmP2) = z{Pi) X Z{P2). 

On a ici H = G = G^ et 1' isogenic / est decrite en termes des coordonnees z par 

z{I{P)) = z{PY. 

Les points du noyau de / ont pour 2;-coordonnees les racines rf-iemes de I'unite. 
L' image reciproque par / d'un point P de G est formee de d points geometriques dont les 
2;-coordonnees sont les d racines d-iemes de z{P). 
La translation par un element t du noyau de / 

P ^ P®Gmt 
s'exprime en terme de 2; -coordonnees par 

z{P®Gmt) = Z{P) X C 
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ou C = ^{t) sst la racine d-ieme de I'unite associee par z au point de d-torsion t. 

Pour la theorie d'Artin-Schreier, le groupe algebrique sous-jacent est le groupe additif 
sur un corps de caracteristique p. 

Le groupe Ga est identifie a la droite affine A^. Un point P de Ga est defini par une seule 
coordonnee z. 

L'origine Og a pour coordonnee z{Og) — 0. La loi de groupe algebrique est donnee par 

z{Pi(Bg,P2)^z{Pi) + z{P2). 
L'isogenie / est I'aplication separable de degre p : 

p : Ga ^ Ga 

decrite en termes des coordonnees z par 

z{p{p)) = z{pr-z{p). 

On a encore ici H = G. 

Les points du noyau de p ont pour 2; -coordonnees les elements du corps premier Fp. 
L' image reciproque par / d'un point P de G est forme de p points geometriques dont les 
z-coordonnees sont les p racines de I'equation — X — z{P). 
La translation par un element t du noyau de / 

P ^ P®Gat 

s'exprime en terme de 2;-coordonnees par 

z(P®Gat) = Z(P) + C 

ou c = z{t) e Fp. 

7 Un exemple different 

On veut appliquer les generalites de la section precedente a divers groupes algebriques com- 
mutatifs. On devine que chaque groupe algebrique apportera sa petite contribution a notre probleme. 
Cependant, comme on cherche des formules simples pour la translation, on imagine que ce sont 
les groupes algebriques les plus ordinaires qui seront les plus utiles. 

On commence done par les plus familiers des groupes algebriques apres les groupes G^ et 
Ga : il s'agit des tores de dimension 1. 

Soit K un corps de caracteristique differente de 2 et D un element non-nul de K. 

Soit la droite projective et [U, V] des coordonnees projectives sur P^. On note 

u = coordonnee affine associee. 

Soit G I'ouvert de d'inequation 

- DV^ ^ 0. 
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On associe a chaque point P de G sa rt-coordonnee eventuellement infinie mais distincte de 

\fD et -\fD. 

L' element neutre de G est le point Oq de coordonnees [1, 0] et de w-coordonnee oo. 
La loi d' addition est definie par 



u{Pi) + U{P2) 



et 



u{eGPi) = -u{Pi). 

On suppose desormais que K = est un corps fini et que D e Fg* n'est pas un carre dans 



Le groupe G(F5) des points F^-rationnels est de cardinal g + 1 et les valeurs correspondantes 

de u sont dans F^ U {oo}. 

L'endomorphisme de Frobenius 

: G ^G 



[U,V] \/^] 

se confond avec I'isogenie multiplication par —q. En effet, soit P le point de coordonnees projec- 
tives [U, V]. Les coordonnees projectives de R = [q\P sont les coordonnees dans la base (1, \/D) 
de 

{U + VVoy = [/« - y/DV 

car D n'est pas un carre dans Fg. 

Done R a pour coordonnees [[/^, —V^] et c'est bien I'inverse de 4>{P). 

On se donne alors un entier > 2 et on demande que la d-torsion G[d] soit F^-rationnelle. II 
faut que d divise g + 1. On pose q + 1 = md. 

On considere I'isogenie / multiplication par d : 

7 = [d] : G ^ G 

dont le noyau G[d\ est cy clique d'ordre d et decompose sur K = Fg. 

Le quotient G(Fg) //(G(Fg)) = G(Fg) /G{¥qY est cyclique de cardinal d. 

Soit alors r un generateur de G(Fy) et soit s un antecedent de r par /. On note u{s) la 
M-coordonnee de s et on pose L = K(m(s)). C'est une extension de degre d de K. 

Le groupe de Galois de L/K est isomorphe a G[d] : pour tout a e Gal(L/K), la difference 
^(s) 0G s est dans G[d\ et I'accouplement 

(a, r) 1-^ a(s) Gg s 
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definit un isomorphisme de Gal(L/K) vers Hom(G(K) /{G{K)Y, G[n\). 

Ici Gal(L/K) est cyclique d'ordre d et engendre par le Frobenius 0. L'accouplement (0, r) 
vaut 0(s) Qg s. 

Ici attention, on se souvient que = [—q]s dans G done 

(0, r) = [-q - l]s = [-m]r. (3) 

On a done une description exacte de Taction de Galois sur /~^(r). EUe est donnee par une 
translation du type P i— > P®g^ avec i e G[d]. Si la coordonnee affine de t est r et si celle de P 
est alors Taction de la translation sur la coordonnee u est donnee par 

TU + D 

u ^ 

U-\-T 

qui est tres agreable car c'est une homographie. 
On forme le polynome 

A{x)= n (^-«(^)) 

se7-i(r-) 

annulateur des w-coordonnees des antecedents de r par I. 

C'est un polynome de degre d a coefficients dans K = F^. II est irreductible dans ^q[X\ car 
r est un generateur de G(Fq). Done on construit L comme K[X]/A(X). 

Les formules d' exponentiation dans G permettent de donner explicitement le polynome 
A{X). 

On a 



0<2fc<d ^ ^ l<2fe+l<(i 

Done 



Ainsi 



ump) = — ) ; , • 

A{x) = ( 2I ) - ( 2/+ 1 ) 

0<2fe<d ^ ^ l<2fc+l<(i ^ ^ 

On pose X = X mod Puisque tout element du groupe de Galois transforme x en une 

fraction rationnelle de degre 1 en a; il est naturel de definir pour tout entier k tel que /c > et 
A; < d le sous-ensemble 
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Pk = { 



flo + o^ix + 020; + ■ ■ ■ + a^x 
bo + bix + h2X^ H h hkX^ 



|(ao,ai, . . .,akMM, ■■■,h) ^ K^fc+2j 



On a 



K = Po C Pi C ■ ■ ■ C 



d-i 



et les Pfc sont invariants par action de Galois. 
En outre il est clair que 



Pfc X P; C Pk+i 

sik + l < d-1. 

Done on a encore un drapeau de sous-ensembles stables par Taction de Galois mais ces 
ensembles ne sont pas lineaires. 

Si on definit le "degre" d'un element de L comme le plus petit k tel que P^ contient cet 
element, alors le degre est une fonction invariante par Taction de Galois et sous-additive : 

deg(a6) < deg(a) + deg(6). 

On voit en outre que le degre est compris entre et [^^^1- C'est done une fonction un peu 
moins fine que dans le cas de Kummer ou d'Artin-Schreier (elle prend deux fois moins de va- 
leurs.) 

Exemple : on choisit p = q= 13 etd = 7 done le cofacteur est m = 2. On pose D = 2 et 
on verifie que D n'est pas un carre dans F13. On cherche r = U + ^/2V tel que f/^ — 2V'^ = 1 
et r soit d'ordre p + 1 = 14 dans ¥ls{^/2)*. Par exemple U = 3 et = 2 conviennent. La 
coordonnee m de 3 + 2^/2 est u{r) = | = 8. On est alors en mesure d'ecrire le polynome 

A{X) =X^ + 3X^ + lOX^ + AX- 8{7X^ + 5X^ + GX^ + 8). 

En outre la formule [3] predit Taction du Frobenius. On pose t = [—m]r = [— 2]r done 
u{t) =4 et le Frobenius opere comme la translation par t : 

AX -\- 2 
X^=——- mod A(X). 
X + 4 ^ ' 

On a done realise un petit progres : desormais on sait traiter les extensions de Fg dont le 
degre d divise g + 1. Malheureusement cette condition est aussi restrictive que celle imposee par 
la theorie de Kummer. Que faire si le degre d ne divise nig + lnig — 1? 

II faut diversifier les groupes algebriques. Les courbes elliptiques off rent une alternative na- 
turelle. 
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8 Corps residuels sur les courbes elliptiques 



On revient a la demarche de la section [6] en prenant pour groupe algebrique G une courbe 
elliptique. 

On considere un corps fini K = Fg dont on veut construire une extension de degre d avec d 
premier a la caracteristique pdeWg. 

Soit done G = E une courbe elliptique ordinaire sur et soit i un ideal inversible de 
I'anneau d'endomorphismes End(_E'). On suppose que i divise 0—1 et que End(£')/i est cyclique 
d'ordre d. Done E(¥g) contient un sous-groupe T = Ker i cyclique d'ordre d. 

Soit I : E ^ F I'isogenie cyclique de degre d et de noyau T. Le quotient F{¥q)/ I{E{¥q)) 
est isomorphe a T. 

Soit done a dans F{¥g) tel que a mod I{E(¥q)) engendre ce quotient. 

La fibre I~^{a) est un diviseur irreductible. Cela signifie que les d points geometriques au 
dessus de a sont definis sur I'extension L de degre (i de K et qu'ils sont conjugues entre eux par 
Taction de Galois. On note B = I^^{a) le diviseur premier correspondant. 

Ainsi L est I'extension residuelle de en 5. Pour representer un element de L on se donne 
une fonction / sur E dont les poles evitent B et on considere 1' element / mod B E L appele 
residu de / en B. Soient X, Y, Z des coordonnees projectives sur E. 

Pour tout entier A; > on note JF^ I'ensemble des Fg-fonctions sur E sans pole en B et de 
degre < k. 

On note Pk I'ensemble des elements de L correspondant 

Pk = {f mod B\f eJ^k}. 
On a clairement (Riemann-Roch) 

K = Po = A C P2 C ■ ■ • C Prf = L 

et 

Pk X Pi C Pk+i- 

En outre il est clair que J-'k est invariant par T. Done Pk est invariant par Taction de Gal(L /K) . 

Pour tester si un element z de L est dans Pk on cherche une fonction / dans J^k telle que 
f = z (mod B). C'est un probleme d' interpolation a peine plus difficile que dans les deux cas 
precedents (polynomes pour Kummer et fractions rationnelles pour le tore). II suffit de chercher 
/ sous la forme ou N et D sont des formes homogenes de degre \k/3] + 1. C'est encore un 
probleme d'algebre lineaire. 

On peut prendre pour base de friabilite I'ensemble des elements / mod B de P^ avec k la 
borne de friabilite choisie. 

Pour factoriser un element z = f mod P de L on decompose le diviseur de / en somme de 
diviseurs premiers et on espere que tous ces diviseurs ont un degre < k. 

On regarde maintenant quelles sont les conditions pour qu'existe une courbe elliptique avec 
toutes les proprietes que nous avons requises. 
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On veut une courbe elliptique sur de cardinal divisible par d. Done q ne peut pas etre trop 
petit. On doit avoir au moins 

q + 2y^+l > d. 

Pour simplifier on suppose que d est impair et admet un multiple D sans facteur carre tel que 
D ^1 mod p et 

q + l- 2^ <D <q + l + 2^. 

II existe alors une courbe elliptique ordinaire E sur de cardinal D et de trace q + l — D. 
L'anneau Z[0] est integralement clos localement en chaque premier impair divisant D, done 
aussi End(i?). 

L'ideal (0 — 1) de End(_E') admet un unique facteur i de degre d. Le quotient End(_E')/i est 
cyclique et i est inversible dans End(_E'). 

La theorie de la multiplication complexe (ou une simple recherche exhaustive) permet de 
construire la courbe E une fois choisi 0. 

Exemple : on choisit p = q = lle,id = D = 7 done t = 5 et 0^ — 50 + 11 = 0. Le 
discriminant de Z[</)] est —19 done End(i?) = Z [</>]. En particulier i = (</> — 1) est inversible et 
son noyau T est le groupe des points rationnels. 

On considere 1' isogenic I : E ^ F de degre 7 obtenue en quotientant E par le groupe des 
points rationnels. 

Pour tout a E F{¥ii) non nul on salt que B = I~^{a) est irreductible. 
On trouve une equation de E : 

y'^ + xy = + 2x + 8. 

9 Les cribles en dimension deux 

II existe une famille d'algorithmes pour la factorisation et le logarithme discret, appeles crible 
algebrique, crible du corps des fonctions, etc., qui reposent sur des calculs d' intersection sur une 
surface (eventuellement arithmetique). Le principe de ces algorithmes est donne en un seul dessin 
sur la couverture de [5J . 

Nous illustrons ces idees dans un cadre un peu general afin de preparer 1' exposition de notre 
construction dans la section [TOl 

Au fil de notre exposition, nous illustrons ce cadre general a travers I'un de ces algorithmes, 
du a Joux et Lercier [2J . 

Soit Fp le corps a p elements avec p premier. 

On se donne une surface algebrique projective lisse irreductible S sur Fp. Solent ^ et i3 deux 
courbes sur S. Soit X une sous-variete irreductible de 1' intersection AnB. On suppose que A et 
B sont transverses en X et on note d le degre de X. Le corps residuel de X est done Fp(X) = Fg 
avec q = p'^. 
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Soit alors un pinceau (lineaire ou du moins algebrique connexe) de diviseurs {Dx)x&a sur <S. 
Ici A est I'espace des parametres. 

On fixe un entier k et on recherche (a tatons) des diviseurs Dx tels que les deux diviseurs 
d' intersection DdA etDCiB soient disjoints de X et K-friables (autrement dit, ils se decomposent 
en somme de diviseurs de degre < k.) 

On considere la relation d' equivalence =x sur les diviseurs de S, definie par D =x si et 
seulement si D est le diviseur d'une fonction / constante modulo X Les classes d' equivalence 
pour cette relation sont parametrees par les points d'un groupe algebrique Pic(»S,X), extension 
de Pic (5) par un tore Tj de dimension d — 1. 

On definit de meme les groupes algebriques Pic(.A, X) et Pic(,B, X) qui sont des jacobiennes 
generalisees de ^ et B respectivement. 

On a des morphismes Pic(<S, X) — > Pic(^,X) etPic(«S,X) — > Pic(B,X) qui induisent I'iden- 
tite sur le tore Tj. 

Soit N un entier qui annule les trois groupes Pic(5)(Fp), Pic(^)(Fp), et Pic(i3)(Fp). 

Soient A et // deux parametres dans A tels que Dx D A, Dfj,r\ A, Dx D B, et D^f] B soient 
friables. On suppose aussi que Dx et D^^ sont disjoints de X. 

On ecrit Dx O A ^ ^ Ai, D^, n A = Bj, DxD B ^ J2Ck, D^D B ^ ^Di comme 
sommes de diviseurs sur ^ ou i3 de degres < k. 

Le diviseur Dx — D^ est algebriquement equivalent a zero et le diviseur N(Dx — -D^) est 
principal. 

Soit / une fonction sur S de diviseur N(Dx — D^). 

On choisit un diviseur X sur A de degre 1 et un diviseur Y sur B de degre 1. 
Pour tout i soit cij une fonction sur A de diviseur N{Ai — deg{Ai)X). 
Pour tout j soit j3j une fonction sur A de diviseur N{Bj — deg{Bj)X). 
Pour tout k soit 7^ une fonction sur B de diviseur N{Ck — deg(Cfc)F). 
Pour tout I soit 5i une fonction sur B de diviseur N{Di — deg{Di)Y). 
On a 

Hi rifc 7fc , T- 

WjPj ihoi 

ce qui produit une relation dans le groupe de Tj{¥p) = Fg*/Fp*. 

Par exemple Lercier et Joux considerent 5 = x P^. Pour eviter toute confusion on note 
Ci = P^ le premier facteur et C2 — P^ le second facteur. Soit Oi un point rationnel sur Ci et 
soit Ui = Ci — Oi. Soit X une coordonnee affine sur I4i ~ A^. Soit de meme O2, U2 et y une 
coordonnee affine surW2. 

Joux et Lercier choisissent pour A 1' adherence de Zariski dans S de la courbe de Ui x U2 
d'equation y — f{x) ou / est un polynome de degre df dans ¥p[x]. Pour B ils choisissent 
r adherence de Zariski dans S de la courbe de Ui x U2 d'equation x — g{y) ou g est un polynome 
de degre dg dans ¥p[y]. 

Le groupe de Neron-Severi de S est isomorphe a Z x Z. La classe d'equivalence algebrique 
d'un diviseur D est donnee par son bidegre {dx{D),dy{D)) avec dx{D) = D.{Ci x O2) et 
dy{D) = D.{Oi X C2). Et la forme d' intersection est donnee par 
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D.E = d,{E)dy{D) + d,{D)dy{E). 

Le bidegre de A est {df, 1) et celui de B est (1, dg). Ainsi A.B = 1 + dfdg et 1' intersection 
de ^ et i3 est formee du point Oi x O2 et des djdg points de la forme {a, f{a)) ou a est I'une 
des dfdg racines de g{f{x)) — x. 

Soit alors h(x) un facteur irreductible simple de ce dernier polynome et soit d son degre. 

On note J la variete de dimension et de degre d correspondante. Le corps residuel Fp(X) 
est un corps fini a q elements avec q = p'^. 

Reste a construire un pinceau de diviseurs (-DA)AeA sur S. II est naturel de considerer I'en- 
semble A des polynomes dans ¥p\x, y] de bidegre (n^., Uy) bien choisi. Le diviseur Dx corres- 
pondant au polynome A est la cloture de Zariski du lieu des zeros de A. II a pour bidegre (m^;, Uy) 
lui aussi. 

On fixe un entier k et on recherche (a tatons) des diviseurs D\ tels que les deux diviseurs 
d' intersection Dx fl ^ et Dx fl B soient disjoints de X et K-friables. 

Par exemple, si A(x, y) est un polynome en x et y, 1' intersection de Dx et de A est de degre 
dfUy + Ux- Sa partie affine est decrite par les racines du polynome A(x, f{x)) = 0. 

L intersection de Dx et de B est de degre Uy + Uxdg. Sa partie affine est decrite par les racines 
du polynome X{g{y), y)) = 0. 

II convient alors d'ajuster et Uy en fonction de p et d. 

10 Corps residuels sur des carres elliptiques 

Dans cette section on cherche a concilier la construction generique de la section |9]et les idees 
de la section [8l 

On demande que les automorphismes de Fp(X) soient induits par des automorphismes de la 
surface S. 

Soit done E une courbe elliptique ordinaire sur Fp et soit i un ideal inversible de I'anneau 
d'endomorphismes End(E). On suppose que i divise — 1 et que End(£')/i est cyclique d'ordre 
d. Done E{¥g) contient un sous-groupe T = Ker i cyclique d'ordre d. Soit I : E ^ F I'isogenie 
quotient par Ker i et soit J : F ^ E telle que — 1 = J o /. 

On choisit pour surface S le produit E x E et pour eviter toute confusion on note Ei le 
premier facteur et E2 le deuxieme facteur. On note Oi I'origine de Ei et O2 I'origine de E2. 

Le groupe de Neron-Severi est Z x Z x End(£'). La classe (di, c?2, ^) d'un diviseur D est 
formee du bidegre et de I'isogenie induite par D. Plus precisement di est le degre d' intersection 
de D etEi x O2 et d2 est le degre de Oi x E2 et ^ : Ei ^ E2. 

Soient a et P deux endomorphismes de E et soient aetb deux points Fp-rationnels sur E. 

Soit A I'image reciproque de a par I'application de E x E dans E qui a (P, Q) associe 
a{P)-Q. 

Soit B I'image reciproque de b par I'application de E x E dans E qui a (P, Q) associe 
P-P{Q). 

On suppose que 1 — (3a = (j) — 1. L' intersection de ^ et de S est formee des couples (P, Q) 

tels que (0 - 1)(P) = 6 + (3{a) etQ = a{P) - a. 
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On a choisi a et 6 de telle sorte qu'il existe un point c dans F(¥p) tel que J(c) = 6 + /5(a) et c 
engendre F (Fp) / I{E(Fp) ) . L' intersection deAetB contient alors une composante X irreductible 
de degre d. 

Soit maintenant D un diviseur sur S et (rfi, (i2, classe dans le groupe de Neron-Severi. 
La classe de A est (aa, 1, a) et celle de B est (1, (3(3, (3). 
Le degre d' intersection de et ^ est done 

D.A = dx + dyaa — — (4) 

et de meme 

D.B = d^pp + dy-iP- 1(3. (5) 

On s'interesse particulierement au cas oil les normes de a et /9 sont de tallies comparables 
(soit la racine carree de la norme de — 2). 

On obtient alors des performances comparables a celles de la section [9] mais avec un avan- 
tage : les bases de friabilites sur A et sur B sont invariantes par action de Galois. 

Soit en effet / une fonction de degre < k sur A. Un point de A est un couple (P, Q) tel que 
Q = a{P) — a. On I'identifie done a sa coordonnee P et on voit / comme une fonction sur Ei. 
Supposons en outre que (P, Q) est dans X. Alors /(P, Q) = f{P) est un element de la base de 
friabilite sur A. On observe alors que f{PY = f{(p{P)) = f{P + t)out est un element du 
noyau T de i. Done f{Py est la valeur en P de / o avec Tt : Ei ^ Ei la translation par t. 
Comme f on est une fonction de meme degre que /, sa valeur en P est encore un element de la 
base de friabilite. 

On peut ainsi diviser par d la taille de la base de friabilite sur A et aussi sur B. 
On choisit de petites valeurs de (d^, dy,$,) en preferant celles qui minimisent les expressions 
|4]et[5l On demande que dx > I, dy > 1 et 

dxdy >il+l. (6) 

On a done une classe d'equivalence algebrique c = (rf^, dy,^). 
Et on cherche les diviseurs effectifs de cette classe. 
On a un point Oi sur Ei et un point O2 sur £'2- 

Le graphe Q = {{P,Q)\Q = — ^(P)} de —^-.Ei^ E2 est un diviseur de la classe 
(^^, 1, -0 done n = -g + {dx + ^OCi X E2 +_{dy + l)Ei x O2 est dans c. 

On calcule I'espace lineaire C{—Q + {d^ + ^O^i x E2 + (dy + l)Ei x O2) en utilisant la 
suite de restriction 

Csi-G+{d.H0OixE2+idy+l)EixO2) ^ CEAidxH0Ol)®CE,{idy+l)O2) ^ CgiA) 
oil A est le diviseur sur Q donne par 1' intersection avec 

(4 + eOOi XE2 + {dy + l)Ei X O2. 

Ce diviseur est de degre d,j. + + {dy + 1)^^ done la dimension du terme de droite dans la 
suite ci-dessus est egale a ce nombre. 
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D'autre part, le terme du milieu est de dimension (d^ + ^Oi^y + 1) qui est strictement 
superieur a la dimension du terme de droite (a cause de rinegalite[6l). 
Done I'espace lineaire de gauche est non nul et la classe est effective. 
Ainsi, la condition numerique[6]est un critere suffisant d'effectivite. 

En pratique on calcule une base de CEi{{dx + CO^i) base de CE2{{dy + 1)02) et on 

multiplie les deux bases (on prend tous les produits formes d'un element de la premiere base et 
d'un element de la deuxieme). 

On selectionne un nombre suffisant (plus de d,j. + + (dy + 1)^0 de points (v4j)j sur Q 
et on evalue toutes les fonctions en ces points. Un calcul d'algebre lineaire donne une base de 
I'ensemble des fonctions qui s'annulent en tous ces points, done aussi le long de Q. 

Pour chaque fonction dans cet espace, le diviseur des zeros de contient Q et la difference 
(0)0 ~ G est un diviseur effectif dans la classe d'equivalence lineaire de H. 

On a done construit une classe d'equivalence lineaire dans c. Pour construire les autres classes 
d'equivalences lineaires de c on note que E x E est sa propre variete de Picard. II suffit done de 
remplacer H dans le calcul precedent par H + Ei x Z2 — Ei x O2 + Zi x E2 — Oi x E2 oh Zi 
et Z2 parcourent Ei{¥p) et E2{¥p) respectivement. 

11 Generalisation et limites ? 

La construction de la section [10] pent et doit etre generalisee. 

Soit encore E une courbe elliptique ordinaire sur ¥p et soit i un ideal inversible de I'anneau 
d'endomorphismes End(E). On suppose que i divise — 1 et que End(_E')/i est cyclique d'ordre 
d. On note F le quotient de E par le noyau deiet I : E ^ F I'isogenie quotient. 

L'entier d appartient a I'ideal i. Soient u et veux deux elements de i tels que d = u + v et 
(u) = iaibi et (v) = 102 b2 ou ai, bi, 02, b2 sont des ideaux inversibles de End(£'). 

On en deduit I'existence de deux courbes Ei et E2 et de quatre isogenics ai. Pi, 0:2, P2, telles 
que Piai + ^20^2 = I- On represente ci-dessous ces trois isogenics de E vers F 



On choisit S = Ei x E2. Pour A on choisit I'image de (ai, 0:2) : E S. Pour B on choisit 
I'image inverse de / par Pi + (32 '■ <S ^ F ou f est un generateur de F(¥p) / I(E(¥p)). 

intersection de ^ et ;B est done I'image par ai x 02 de I^^{f) C E. 

On choisit u et de telle sorte que Oi, bi, 02, et b2, aient des normes proches de la racine 
carree de d. 

Cette construction est utile lorsque la norme de i est beaucoup plus petite que celle de — 1. 



E- 



1 




E2 



21 



Nous avons done reussi a construire des bases invariantes de friabilite pour un grand nombre 
de corps finis. Nos constructions vont au dela des theories de Kummer et Artin-Schreier. EUes 
sont efficaces si le degre d du corps est inferieur a 4y^ ou contenu dans I'intervalle ]q + 1 — 
2^,g+l + 2^[. 
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